網絡平安體系

根底架構建設知識1國際社會對信息平安的共識1998年以來的歷屆聯合國大會，均專門商討信息平安概念和主要威脅；1999年，俄羅斯向聯合國提交了?從國際平安的角度來看信息和電信領域的開展?報告，遭到西方國家強烈抵抗；2006年10月20日，俄羅斯聯合中國等國，繼續提交了報告決議草案，最終169票對1票通過，唯一投反對票的國家是美國。2中國面臨的信息平安風險因素3中國面臨的信息平安事故4中國面臨的信息平安現狀根底信息網絡和重要信息系統的平安防護能力不強重視不夠，投入缺乏平安體系不完善，整體平安十分脆弱軟硬件特別是高端產品嚴重依賴國外國家平安意識不強5中國面臨的信息平安風險因素6中國面臨的信息平安風險因素7中國面臨的信息平安風險因素8有關電子標簽的兩次政協提案9網絡平安體系根底架構10中國早期參考的信息平安體系標準美國國防部早在80年代就針對國防部門的計算機平安保密成立了國家計算機平安中心〔NCSC〕1983年NCSC公布了可信計算機系統評估準那么TCSEC-TrustedComputerSystemEvaluationCriteria，俗稱橘皮書NCSC于1987年出版了一系列有關可信計算機數據庫、可信計算機網絡等的指南等〔俗稱彩虹系列〕，根據所采用的平安策略、系統所具備的平安功能將系統分為四類七個平安級別。將計算機系統的可信程度劃分為D、C1、C2、B1、B2、B3和A1七個層次。11中國早期參考的信息平安體系標準12目前最新的信息平安體系開展狀況13信息平安等級保護相關文件間的關系政策文件四大標準管理標準提供指導提供方法平安等級化的信息系統提供管理要求14信息系統平安等級保護實施政策文件政策文件國務院147號令－?中華人民共和國計算機信息系統平安保護條例?中辦發[2003]27號－?國家信息化領導小組關于加強信息平安保障工作的意見?公通字[2004]66號－?關于信息平安等級保護工作的實施意見?公通字[2007]43號－?信息平安等級保護管理方法?15信息系統平安等級保護實施的標準法規四大標準1617信息系統平安等級保護實施管理標準管理標準18近期新增國家信息平安標準19網絡平安體系根底架構的主要建設過程運維方案設計管理方案設計平安平臺選型綜合風險分析業務人員訪談管理人員訪談平安培訓效勞應急響應效勞平安通告效勞平安監控效勞后期效勞工程監理現有措施評估平安威脅評估資產弱點評估信息資產賦值幫助分析需求幫助總體規劃幫助設計方案承包工程實施監控、響應平安認證咨詢需求分析總體規劃詳細設計工程實施運行維護平安認證信息系統平安建設與運營維護信息資產識別風險分析與評估設計總體方案制定平安策略制定平安方針平安總體規劃平安產品選型平安方案設計工程驗收效勞實施產品實施設計實施方案制定實施方案平安工程實施平安審計效勞平安優化效勞平安加固效勞平安檢測效勞平安運行維護平安認證體系建設風險評估標準導入平安認證咨詢人、工具、標準人、標準人、產品人、產品人、工具、平臺人、標準信息系統平安建設咨詢效勞平安運行維護效勞系統現狀分析平安認證咨詢效勞20網絡平安體系根底架構前的準備工作風險評估準備保護對象分析威脅分析脆弱性分析控制措施分析確定風險后果確定風險概率確定風險等級平安風險評估報告21網絡平安集成商的選擇－企業主要相關資質國家涉密集成資質信息系統集成資質國家平安效勞資質22網絡平安產品的選擇－國家平安相關資質①②③④⑤⑥23網絡平安產品的選擇－密碼產品相關資質24網絡平安產品的選擇－業界主要平安相關資質平安產品的品質保障－EAL系列產品認證電信接入品質保障－電信進網試用批文防止貼牌產品－知識產權證明入侵漏洞庫質量－CVE兼容認證25網絡平安措施簡介26主機平安措施簡介27應用平安措施簡介28數據平安措施簡介29網絡平安體系根底架構的主要涉及層面物理平安管理需求信息平安需求網絡平安主機平安應用平安數據平安平安管理制度平安管理機構人員平安管理系統建設管理系統運維管理30物理平安〔三級〕物理位置的選擇物理訪問控制防盜竊和防破壞防雷擊防水和防潮防靜電溫濕度控制電力供給A3電磁防護S3物理平安需求分析31機房和辦公場地應選擇在具有防震、防風和防雨等能力的建筑內；機房場地應防止設在建筑物的高層或地下室，以及用水設備的下層或隔壁。物理位置的選擇物理平安需求分析32機房出入口應安排專人值守，控制、鑒別和記錄進入的人員；需進入機房的來訪人員應經過申請和審批流程，并限制和監控其活動范圍；應對機房劃分區域進行管理，區域和區域之間設置物理隔離裝置，在重要區域前設置交付或安裝等過渡區域；重要區域應配置電子門禁系統，控制、鑒別和記錄進入的人員。物理訪問控制物理平安需求分析33防盜竊和防破壞物理平安需求分析34機房建筑應設置避雷裝置；應設置防雷保安器，防止感應雷；機房應設置交流電源地線。防雷擊物理平安需求分析35物理平安需求分析36水管安裝，不得穿過機房屋頂和活動地板下；應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透；應采取措施防止機房內水蒸氣結露和地下積水的轉移與滲透；應安裝對水敏感的檢測儀表或元件，對機房進行防水檢測和報警。防水和防潮物理平安需求分析37主要設備應采用必要的接地防靜電措施；機房應采用防靜電地板。防靜電物理平安需求分析38機房應設置溫、濕度自動調節設施，使機房溫、濕度的變化在設備運行所允許的范圍之內。溫濕度控制物理平安需求分析39應在機房供電線路上配置穩壓器和過電壓防護設備；應提供短期的備用電力供給，至少滿足主要設備在斷電情況下的正常運行要求；應設置冗余或并行的電力電纜線路為計算機系統供電；應建立備用供電系統。電力供給A3物理平安需求分析40應采用接地方式防止外界電磁干擾和設備寄生耦合干擾；電源線和通信線纜應隔離鋪設，防止互相干擾；應對關鍵設備和磁介質實施電磁屏蔽。電磁防護S3物理平安需求分析?綜合布線工程設計標準?〔GB50311-2007〕?綜合布線工程驗收標準?〔GB50312-2007〕41網絡平安〔三級〕結構平安訪問控制平安審計邊界完整性檢查S3入侵防范惡意代碼防護網絡設備防護網絡平安需求分析42結構平安網絡平安需求分析43網絡平安區域劃分原那么網絡整體是一個平安域劃分平安子域內部平安域劃分要考慮用戶接入情況平安域劃分要利于平安設備的部署平安域劃分要保障業務正常開展44網絡平安區域劃分詳細說明接入平安域：包括外部單位接入、機關接入和外聯單位接入一般平安域：包括網絡數據交換區、根本效勞區和平安管理區核心平安域：核心業務區45訪問控制網絡平安需求分析46應對網絡系統中的網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄；審計記錄應包括：事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息；應能夠根據記錄數據進行分析，并生成審計報表；應對審計記錄進行保護，防止受到未預期的刪除、修改或覆蓋等。平安審計網絡平安需求分析47應能夠對非授權設備私自聯到內部網絡的行為進行檢查，準確定出位置，并對其進行有效阻斷；應能夠對內部網絡用戶私自聯到外部網絡的行為進行檢查，準確定出位置，并對其進行有效阻斷。邊界完整性檢查S3網絡平安需求分析48應在網絡邊界處監視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕效勞攻擊、緩沖區溢出攻擊、IP碎片攻擊和網絡蠕蟲攻擊等；當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發生嚴重入侵事件時應提供報警。入侵防范網絡平安需求分析49應在網絡邊界處對惡意代碼進行檢測和去除；應維護惡意代碼庫的升級和檢測系統的更新。惡意代碼防護網絡平安需求分析50網絡設備防護網絡平安需求分析51主機平安〔三級〕身份鑒別S3訪問控制S3平安審計剩余信息防護S3入侵防范惡意代碼防范資源控制A3主機平安需求分析52身份鑒別S3主機平安需求分析53應啟用訪問控制功能，依據平安策略控制用戶對資源的訪問；應根據管理用戶的角色分配權限，實現管理用戶的權限別離，僅授予管理用戶所需的最小權限；應實現操作系統和數據庫系統特權用戶的權限別離；應嚴格限制默認賬戶的訪問權限，重命名系統默認賬戶，修改這些賬戶的默認口令；應及時刪除多余的、過期的賬戶，防止共享賬戶的存在。應對重要信息資源設置敏感標記；應依據平安策略嚴格控制用戶對有敏感標記重要信息資源的操作；訪問控制S3主機平安需求分析54審計范圍應覆蓋到效勞器和重要客戶端上的每個操作系統用戶和數據庫用戶；審計內容應包括重要用戶行為、系統資源的異常使用和重要系統命令的使用等系統內重要的平安相關事件；審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果等；應能夠根據記錄數據進行分析，并生成審計報表；應保護審計進程，防止受到未預期的中斷；應保護審計記錄，防止受到未預期的刪除、修改或覆蓋等。平安審計主機平安需求分析55應保證操作系統和數據庫系統用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全去除，無論這些信息是存放在硬盤上還是在內存中；應確保系統內的文件、目錄和數據庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全去除。剩余信息防護S3主機平安需求分析56應能夠檢測到對重要效勞器進行入侵的行為，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發生嚴重入侵事件時提供報警；應能夠對重要程序的完整性進行檢測，并在檢測到完整性受到破壞后具有恢復的措施；操作系統應遵循最小安裝的原那么，僅安裝需要的組件和應用程序，并通過設置升級效勞器等方式保持系統補丁及時得到更新。入侵防范主機平安需求分析57應安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；主機防惡意代碼產品應具有與網絡防惡意代碼產品不同的惡意代碼庫；應支持防惡意代碼的統一管理。惡意代碼防范主機平安需求分析58應通過設定終端接入方式、網絡地址范圍等條件限制終端登錄；應根據平安策略設置登錄終端的操作超時鎖定；應對重要效勞器進行監視，包括監視效勞器的CPU、硬盤、內存、網絡等資源的使用情況；應限制單個用戶對系統資源的最大或最小使用限度；應能夠對系統的效勞水平降低到預先規定的最小值進行檢測和報警。資源控制A3主機平安需求分析59應用平安〔三級〕身份鑒別S3訪問控制S3平安審計剩余信息保護S3通信完整性S3通信保密性S3抗抵賴軟件容錯A3資源控制A3應用平安需求分析60身份鑒別S3應用平安需求分析61應提供訪問控制功能，依據平安策略控制用戶對文件、數據庫表等客體的訪問；訪問控制的覆蓋范圍應包括與資源訪問相關的主體、客體及它們之間的操作；應由授權主體配置訪問控制策略，并嚴格限制默認賬戶的訪問權限；應授予不同賬戶為完成各自承擔任務所需的最小權限，并在它們之間形成相互制約的關系。應具有對重要信息資源設置敏感標記的功能；應依據平安策略嚴格控制用戶對有敏感標記重要信息資源的操作；訪問控制S3應用平安需求分析62應提供覆蓋到每個用戶的平安審計功能，對應用系統重要平安事件進行審計；應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄；審計記錄的內容至少應包括事件的日期、時間、發起者信息、類型、描述和結果等；應提供對審計記錄數據進行統計、查詢、分析及生成審計報表的功能。平安審計應用平安需求分析63應保證用戶鑒別信息所在的存儲空間被釋放或再分配給其他用戶前得到完全去除，無論這些信息是存放在硬盤上還是在內存中；應保證系統內的文件、目錄和數據庫記錄等資源所在的存儲空間被釋放或重新分配給其他用戶前得到完全去除。剩余信息保護S3應用平安需求分析64通信完整性S3應用平安需求分析65通信保密性S3應用平安需求分析66應具有在請求的情況下為數據原發者或接收者提供數據原發證據的功能；應具有在請求的情況下為數據原發者或接收者提供數據接收證據的功能。抗抵賴應用平安需求分析67應提供數據有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定要求；應提供自動保護功能，當故障發生時自動保護當前所有狀態，保證系統能夠進行恢復。軟件容錯A3應用平安需求分析68當應用系統的通信雙方中的一方在一段時間內未作任何響應，另一方應能夠自動結束會話；應能夠對系統的最大并發會話連接數進行限制；應能夠對單個賬戶的多重并發會話進行限制；應能夠對一個時間段內可能的并發會話連接數進行限制；應能夠對一個訪問賬戶或一個請求進程占用的資源分配最大限額和最小限額；應能夠對系統效勞水平降低到預先規定的最小值進行檢測和報警；應提供效勞優先級設定功能，并在安裝后根據平安策略設定訪問賬戶或請求進程的優先級，根據優先級分配系統資源。資源控制A3應用平安需求分析69數據平安〔三級〕數據完整性S3數據保密性S3備份與恢復A3數據平安需